PT-2026-137477
CVE-2026-85627
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Apache OFBiz الإصدارات 24.09 through 24.09.07
Description
توجد مشكلة حيث يؤدي عدم تحييد العناصر الخاصة بشكل صحيح في محرك القوالب إلى حقن القوالب من جانب الخادم (SSTI). يمكن لمهاجم عن بُعد مصرح له يمتلك حسابًا غير إداري تنفيذ أوامر نظام تشغيل تعسفية بصفتها مستخدم عملية OFBiz. يتم تحقيق ذلك من خلال استخدام حدث
updateLayoutImage لكتابة حقول DataResource دون التحقق من الأذونات، وإعادة تعيين DataResource كقالب FreeMarker Template Language (FTL) يقوم بتقييم مفتاحه الأساسي. تسمح هذه العملية للمهاجم بزرع OFBiz Form Widget حيث تقوم سمة use-when بتشغيل كود Groovy غير معزول (unsandboxed).Recommendations
التحديث إلى الإصدار 24.09.08.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾